Deloitte Cyber Security Report Österreich 2020 - Eine Studie von Deloitte Österreich in Kooperation mit SORA
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Deloitte Cyber Security Report Österreich 2020 Eine Studie von Deloitte Österreich in Kooperation mit SORA
Vorwort 03 Daten- und Informationssicherheit: Ein Thema mit Priorität und (Un-)Sicherheiten 04 Information und Präventionsmaßnahmen geben Sicherheit 08 Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches 13 HOT TOPIC: Cyber Security in Zeiten von COVID-19 18 Sample und Methode 26 Kontakt 27 Impressum Herausgegeben von Deloitte Audit Wirtschaftsprüfungs GmbH StudienautorInnen: Christoph Hofinger und Julia Simon (SORA) sowie Alexander Ruzicka und Andreas Niederbacher (Deloitte) unter redaktioneller Mitarbeit von Armin Nowshad und Gina Grassmann (Deloitte) Grafik und Layout: Claudia Hussovits
Deloitte Cyber Securtiy Report 2020 |
Vorwort
Vorwort
Seit Jahren sieht sich die Wirtschaft einer wachsenden
Zahl an Cyber-Angriffen ausgesetzt. Die zunehmende
Vernetzung und Digitalisierung bietet immer neue
Potenziale für kriminelle Umtriebe. Umso wichtiger
ist es daher für Unternehmen, sich zu wappnen
und entsprechende Maßnahmen im Bereich
Cyber Security zu setzen. Aber wie gut sind
Österreichs Unternehmen überhaupt bei Cyber Alexander Ruzicka
Partner | Risk Advisory
Security aufgestellt? Wo liegen die wichtigsten
Handlungsfelder?
Um diesen und weiteren Fragen Seit Anfang März hat sich die Situation
auf den Grund zu gehen, hat das in den heimischen Unternehmen
Forschungsinstitut SORA im Jänner 2020 durch die Ausbreitung des Coronavirus
im Auftrag von Deloitte Österreich drastisch verändert. So arbeiten die
zum zweiten Mal insgesamt 535 Mitarbeiterinnen und Mitarbeiter vieler
Entscheidungsträgerinnen und Organisationen im Home Office – die
Entscheidungsträger im Bereich IT Sicherheitslage im digitalen Bereich hat
von heimischen Unternehmen zum sich damit grundlegend verändert.
Thema Daten- und Informations- Daher wurde von Deloitte Österreich im
Andreas Niederbacher
sicherheit befragt. Dabei zeigt sich: Die Mai 2020 eine zusätzliche Kurzumfrage
Senior Manager | Risk Advisory
Unternehmen fühlen sich sicherer als zum Thema durchgeführt, um der neuen
im Vorjahr. Großen Aufholbedarf gibt Situation entsprechend Rechnung zu
es jedoch laut den Ergebnissen vor tragen. Die Ergebnisse sind im
allem in der Baubranche. Auch in der „Hot Topic“-Teil der vorliegenden
Prävention und im Umgang mit Cyber- Studie zusammengefasst.
Angriffen sind viele befragte Unter-
nehmen noch überfordert und nicht Wir wünschen eine spannende Lektüre!
optimal aufgestellt.
Alexander Ruzicka
Andreas Niederbacher
03
Deloitte Cyber Securtiy Report 2020 |
Daten- und Informationssicherheit
Daten- und Informationssicherheit:
Ein Thema mit Priorität und
(Un-)Sicherheiten
Der diesjährige Cyber Security Report zeigt: Was trifft am ehesten auf Ihr Unternehmen zu: Informationssicherheit
Daten- und Informationssicherheit ist für ist ein Nischenthema oder ein Thema mit sehr hoher Priorität?
etwas mehr als die Hälfte der befragten
Unternehmen ein Thema mit Priorität (54 %).
Das sind 10 Prozentpunkte mehr als noch 23 % 23 %
im Vorjahr. Vor allem in Unternehmen
der kritischen Infrastruktur (88 %), der Nischenthema
unternehmensbezogenen Dienste (72 %) Thema mit sehr hoher Priorität
und in Betrieben mit einem Umsatz von Weder noch
über 30 Millionen Euro pro Jahr spielt
das Thema überdurchschnittlich häufig
eine wesentliche Rolle. Daraus lässt sich
schließen: Die Unternehmen haben 54 %
mehrheitlich die Wichtigkeit von Cyber
Security erkannt – die Aufklärungsarbeit
der letzten Jahre trägt zunehmend Früchte. Deloitte View
Allerdings: Immerhin für 23 % Jüngste Zahlen der Kriminalstatistik in Österreich
der Unternehmen ist Daten- und zeigen einen Anstieg der Cyberkriminalität. Die
Informationssicherheit nach wie vor nur
ein Nischenthema. Das betrifft besonders höhere Priorität von Daten-Informationssicherheit
Unternehmen der Baubranche (43 %) und in Unternehmen kann unter anderem auf diese
im Bereich konsumbezogener Dienste (33 %).
Hier besteht weiterhin ein großes Risiko Entwicklung zurückgeführt werden. Gerade in
für die betroffenen Unternehmen, Opfer Zeiten einer zunehmend digitalisierten Welt muss
von Cyber-Angriffen zu werden.
Daten- und Informationssicherheit in allen Unter-
nehmen eine Top-Priorität einnehmen. Das wird
den Führungsebenen von immer mehr Unter-
nehmen bewusst.
04
Deloitte Cyber Securtiy Report 2020 |
Daten- und Informationssicherheit
Das Sicherheitsgefühl hat sich im Was glauben Sie, wie sicher sind Ihre Daten und IT-Systeme derzeit?
Vergleich zum Vorjahr ebenfalls
3% 8%
verbessert: 60 % der heimischen
Unternehmen geben an, dass ihre Daten
und IT-Systeme absolut bis sehr sicher
Absolut sicher
sind. Das sind um 6 % mehr als 2019.
36 % Sehr sicher
Auch hier fühlen sich Unternehmen der Ziemlich sicher
kritischen Infrastruktur (89 %) sowie Wenig sicher
Großunternehmen ab einem Umsatz Keine Angabe
von 100 Millionen Euro pro Jahr (74 %)
besonders sicher. Im Branchenvergleich 52 %
sticht die Baubranche negativ hervor:
Nahezu die Hälfte der befragten
Bauunternehmen bewertet ihre
Daten- und IT-Systeme nur als ziemlich
sicher (47 %).
Deloitte View
Unternehmen, die wenig in ihre digitale Sicherheit investieren, erkennen durchaus,
dass ihre Systeme Mängel in puncto Sicherheit aufweisen. Gerade in der Baubranche
kam es in den vergangenen Monaten vermehrt zu erfolgreichen Cyber-Angriffen.
Das hat Auswirkungen auf das subjektive Sicherheitsgefühl der gesamten Branche.
Unternehmen, die sich unsicher fühlen, sollten eine professionelle unabhängige
Überprüfung durchführen, um den eigenen Status quo zu kennen und
entsprechende Schritte zur Erhöhung der Sicherheit setzen zu können.
05
Deloitte Cyber Securtiy Report 2020 |
Daten- und Informationssicherheit
Deloitte View Bei der Einschätzung des eigenen Fast ein Drittel der Befragten (31 %)
Informationsgrades und der Handlungs- meint allerdings, dass es ohnehin
Das größte Gefahren- kompetenz zeigt sich folgendes Bild: Drei keinen hundertprozentigen Schutz
potenzial für Unter- Viertel der Unternehmen fühlen sich über gibt. Sie befassen sich deshalb erst mit
Gefahren und Schutzmaßnahmen sehr entsprechenden Maßnahmen, wenn es
nehmen liegt darin, bis ziemlich gut informiert (76 %). Mit 53 % zu Vorfällen kommt (+10 Pp). Insgesamt
keinen klaren Plan sind aber etwas mehr als die Hälfte der zeigt sich hier: Jene Unternehmen,
österreichischen Unternehmen damit bei denen das Thema Daten- und
für den Ernstfall zu überfordert, sich gegen alle möglichen Informationssicherheit eine gewisse
haben. Wenn man Gefahren abzusichern. 16 % wissen zum Priorität hat, fühlen sich auch besser
Beispiel nicht, was sie bei einem Angriff informiert und sind bei Angriffen seltener
nach einem Angriff als erstes tun sollen. überfordert.
erst noch überlegen
muss, wie man damit Ich fühle mich gut informiert Es gibt ohnehin keinen 100%-igen
über alle möglichen Gefahren Schutz, deshalb befassen wir uns
umgeht, ist es eindeutig und Schutzmaßnahmen. erst mit Sicherheitsthemen, wenn
zu spät. Die Prävention es zu Vorfällen kommt.
muss an erster Stelle 2% 1% 8%
stehen – und nicht die 21 % 27 %
Reaktion.
23 %
40 %
49 % 29 %
Sich gegen alle möglichen Gefahren Bei einem Angriff auf unsere IT-Systeme
abzusichern, würde das Unter- wüsste ich nicht, was ich als erstes
nehmen überfordern. tun soll.
3% 2%3%
22 % 13 %
16 %
50 %
32 %
27 %
31 %
Stimme sehr zu
Stimme ziemlich zu
Stimme wenig zu
Stimme gar nicht zu
Keine Angabe
06
Deloitte Cyber Securtiy Report 2020 |
Daten- und Informationssicherheit
Der Stellenwert von Daten- und
Informationssicherheit ist stark vom
Deloitte View
Umsatz der Unternehmen abhängig. Nur, weil Unternehmen kleiner sind, heißt das nicht,
Es lassen sich dabei zwei Ansätze
erkennen: Der pragmatische und
dass sie nicht genauso potenzielle Ziele von Cyber-
der präventive Ansatz. In kleineren Angriffen werden können. Für sie sind Investitionen in
Unternehmen mit einem Jahresumsatz
von bis zu 10 Millionen Euro ist Daten-
eine erfolgreiche Daten- und Informationssicherheit
und Informationssicherheit tendenziell allerdings oftmals herausfordernder als für
ein Nischenthema. Sie fühlen sich folglich
schlechter informiert als mittlere und
große Unternehmen. So haben KMU meist keine
große Unternehmen. Große Unternehmen Mitarbeiterinnen und Mitarbeiter, die sich dezidiert
mit einem Jahresumsatz von über 40
Millionen Euro sind im Vergleich sicherer
mit dem Thema Cyber Security beschäftigen. Zudem
sowie seltener überfordert und ergreifen sind die notwendigen Mittel, um die Infrastruktur
präventive Schutzmaßnahmen. Die
kleineren und mittleren Betriebe tendieren
ausreichend zu schützen, im Verhältnis zum Umsatz
eher dazu, erst bei einem konkreten Vorfall auch bedeutend höher. Schlussendlich lohnen sich
zu reagieren. Die Strategie im Umgang mit
Daten- und Informationssicherheit steht
Investitionen jedoch – denn der Schaden eines
also in engem Zusammenhang mit den erfolgreichen Angriffs kann wesentlich höher sein
finanziellen und personellen Ressourcen
der Unternehmen.
als sinnvolle Investitionen in die Cyber Security.
07
Deloitte Cyber Securtiy Report 2020 |
Information und Präventionsmaßnahmen geben Sicherheit
Information und
Präventionsmaßnahmen
geben Sicherheit
Praktiken der Unternehmen, welche
Deloitte View
die Daten- und Informationssicherheit
potenziell gefährden können, haben sich Private Geräte stellen generell ein hohes
im Vergleich zum Vorjahr kaum verändert.
Sicherheitsrisiko für Unternehmen dar. Da
Die externe Speicherung (41 %) sowie
der externe Zugriff auf Daten (37 %) sind deren berufliche Nutzung gerade in jenen
2020 gleichermaßen üblich wie 2019.
Unternehmen üblich ist, die wenig Budget für
Die Nutzung von privaten Geräten für
berufliche Zwecke (20 %) war jedoch Datensicherheit haben, wird das potenzielle
Anfang des Jahres unüblicher (-10 Pp)
Risiko für diese Betriebe noch mehr erhöht.
als in der Vorgängerstudie. Das
legt den Schluss nahe, dass das
Sicherheitsbewusstsein gestiegen ist.
Doch auch bei privaten Geräten können
Betrachtet man die Ergebnisse im Detail, Unternehmen ein gewisses Maß an Sicherheit
so ist in den Branchen Industrie
erzielen. Dafür bedarf es strikten Vorgaben
und Gewerbe (47 %) sowie
unternehmensbezogene Dienste (46 %) sowie gesonderten Prozessen und Systemen
der externe Zugriff auf Daten oder
wie zum Beispiel Remote-Desktop-Infrastrukturen.
Programme etwa im Home Office
besonders üblich. Private Handys, Aktuell müssen Mitarbeiterinnen und Mitarbeiter
Laptops und Tablets werden vor allem
bei der Nutzung ihrer Privatgeräte oftmals
in Bauunternehmen für berufliche
Zwecke genutzt (30 %). In großen noch eine schlechtere Usability in Kauf nehmen,
Unternehmen mit einem Umsatz von
wobei sich diese in den vergangenen Jahren
über 100 Millionen Euro pro Jahr ist das
hingegen bei 91 % eher unüblich. stark verbessert hat.
08
Deloitte Cyber Securtiy Report 2020 |
Information und Präventionsmaßnahmen geben Sicherheit
Sind die folgenden Dinge in Ihrem Unternehmen eher üblich oder eher unüblich?
Nutzung von privaten Handys, Speicherung von Daten in
Laptops oder Tablets für externen Cloud Services
berufliche Zwecke
20 %
41 %
MitarbeiterInnen können auf Daten MitarbeiterInnen nehmen Daten für
oder Programme von außerhalb berufliche Zwecke mit nach Hause
des Unternehmens zugreifen (z.B. USB Stick)
(z.B. Home Office)
12 %
37 %
Eher üblich
09
Deloitte Cyber Securtiy Report 2020 |
Information und Präventionsmaßnahmen geben Sicherheit
Die Unternehmen setzen beim Schutz Im Gesamten scheint es den Befragten
von Daten- und Informationssystemen bei den Maßnahmen oftmals darum zu
vorrangig auf den Einsatz von Antivirus- gehen, sich selbst ein Sicherheitsgefühl
Software (68 %), Firewalls (57 %) und zu geben. Vorbereitung und Routine
regelmäßige Updates (40 %). Gründe für scheinen Zuversicht zu schaffen.
die Umsetzung dieser Maßnahmen sind Unternehmen, die vor allem deswegen
vor allem die Prävention und Anliegen der Maßnahmen umsetzen, weil es üblich ist,
Unternehmen zur Schadensbegrenzung fühlen sich bei einem Angriff dennoch
(52 %). 48 % geben auch an, dass der überdurchschnittlich häufig überfordert
Einsatz von Maßnahmen mittlerweile State (61 %). Präventionsmaßnahmen werden
of the Art und damit einfach üblich ist. Laut aber auch oft in jenen Unternehmen
33 % herrscht außerdem ein Standard in umgesetzt, in denen Daten- und
der Branche vor, dem sie gerecht werden Informationssicherheit ein Nischenthema
müssen. Weitere 23 % berufen sich auf (61 %) ist.
gesetzliche Richtlinien.
Welche Maßnahmen zum Schutz von Daten und Informationssystemen gibt es in Ihrem Unternehmen?
Antivirus-Software 68 %
Firewall 57 %
Updates der Software 40 %
SPAM-Filter 34 %
Interne Überprüfungen durch die IT-Abteilung 32 %
Regelmäßige Änderung der Passwörter 25 %
Sicherung der Rechner durch ein Passwort 23 %
Einschränkung der Rechte normaler NutzerInnen 23 %
Sensibilisierung der MitarbeiterInnen 22 %
Korrekte Einstellung der Sicherheitsoptionen 22 %
Sichere WLAN-Verbindungen 20 %
Mindestlänge und Sonderzeichen bei Passwörtern 18 %
Verschlüsselung bei der Übertragung von Daten 17 %
Verschlüsselung sensibler Unternehmensdaten 17 %
Sicherheitsüberprüfungen von Supplier 14 %
Tests von Außen durch Dritte 9%
Planspiele und Simulation von Angriffen 3%
Anderes 3%
0% 10 % 20 % 30 % 40 % 50 % 60 % 70 %
10Deloitte Cyber Securtiy Report 2020 |
Information und Präventionsmaßnahmen geben Sicherheit
Deloitte View
Maßnahmen sollten immer auch auf ihre Wirksamkeit hin überprüft werden.
Placebo-Effekte wirken immer nur so lange, bis wirklich etwas passiert. Generell
besteht außerdem die Gefahr, dass Unternehmen sich nur auf Standard-
maßnahmen fokussieren, die mittlerweile im besten Fall eine Grundlage bilden,
aber sicher nicht die Komplexität der neuen Bedrohungsszenarien entsprechend
berücksichtigen. Es empfiehlt sich, auf innovativere Lösungen zu setzen – wie zum
Beispiel automatisierte Monitorings der Infrastruktur.
Aus welchen Gründen werden diese Maßnahmen in Ihrem Unternehmen umgesetzt?
Anliegen des Unternehmens zur Schadensbegränzung/Prävention 53 %
Heute einfach unüblich bzw. erforderlich/State of the Art 48 %
Standard in der Branche 33 %
Gesetzliche Richtlinien 23 %
Vorgabe des Konzerns 17 %
Vorgabe durch externe Partner 11 %
0% 10 % 20 % 30 % 40 % 50 % 60 %
11Deloitte Cyber Securtiy Report 2020 |
Information und Präventionsmaßnahmen geben Sicherheit
Deloitte View Unternehmen wünschen sich vorrangig kleinere und mittlere
unterstützende Angebote und Unternehmen mit einem Umsatz unter
Große Unternehmen Maßnahmen zur Verbesserung 30 Millionen Euro pro Jahr. 29 % wollen
haben häufig Abteilungen ihrer Daten- und Informations- außerdem mehr Achtsamkeit und
sicherheit. Informationsangebote Compliance bei den Mitarbeiterinnen
oder Service Center von öffentlichen Stellen werden und Mitarbeitern schaffen. Das ist
implementiert, die von 36 % der Befragten eingefordert besonders relevant für Unternehmen,
und sind besonders für Unter- die sich bereits informiert und
sich prioritär mit dem nehmen interessant, in denen Daten- kompetent fühlen – etwa aus der
Thema Cyber Security und Informationssicherheit ein Branche der unternehmensbezogenen
Nischenthema ist oder die sich Dienste (39 %) sowie größere
befassen und sich als schlecht informiert und überfordert Unternehmen mit mehr als 100 Millionen
Dienstleister im eigenen fühlen. Fast die Hälfte der befragten Umsatz pro Jahr (41 %). Sie haben ihre
Bauunternehmen (45 %) zählt hier technischen Grenzen oftmals erreicht
Betrieb verstehen. dazu. und wollen in einem nächsten Schritt
Insbesondere bei bei der potenziellen „Schwachstelle
Empfehlungen von privaten Unter- Mensch“ ansetzen. Eine günstigere
kleineren Unternehmen nehmensberatungen würde ein und bessere Sicherheitstechnologie
kann ein Hinzuziehen Drittel der Befragten in Anspruch wünschen sich wiederum 24 % der
nehmen. Daran interessiert sind Befragten.
externer Anbieter eine
sinnvolle Option sein,
um ein vergleichbares Welche Angebote und Maßnahmen würden Sie dabei unterstützen,
Sicherheitsniveau zu Ihre Daten und Informationssysteme besser zu sichern?
realisieren. Informationsangebote von öffentlichen Stellen 36 %
Empfehlungen von privaten Unternehmensberatern 33 %
Mehr Achtsamkeit/Compliance der MitarbeiterInnen im Unternehmen 29 %
Günstigere/bessere Sicherheitstechnologie 24 %
Richtlinien zu Sicherheitsstandards/Schulungsunterlagen/Informationsmaterial 17 %
Verhaltenskodex bei Vorfällen/Angriffen 17 %
Keine 9%
Weiß nicht/keine Angabe 6%
Andere 2%
0% 10 % 20 % 30 % 40 %
12Deloitte Cyber Securtiy Report 2020 |
Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches
Schadsoftware und Hacker-Angriffe
sind die häufigsten Gründe für
Security Breaches
Im Vergleich zu 2019 hat die Summe Am häufigsten erleben die befragten
der registrierten Security Breaches in Unternehmen Security Breaches in
heimischen Unternehmen abgenommen Form von Befall durch Schadsoftware
(- 16 Pp): Schließt man bei der Befragung aus dem Internet (27 %), wobei hier
vom Vorjahr allgemeine technische die unternehmensbezogenen Dienste
Probleme und Identitätsdiebstahl aus, (37 %) überdurchschnittlich betroffen
berichteten damals 66 % der Unternehmen sind. Hacker-Angriffe fanden in 15 % der
von Vorfällen. 29 % sprachen von einem befragten Unternehmen statt – davon
Security Breach, 20 % von zwei und 17 % besonders selten in Bauunternehmen
von drei oder mehr. (1 %) und häufiger in Unternehmen mit
einem Umsatz über 100 Millionen Euro
2020 berichtet nur mehr die Hälfte der (28 %). Onlinebetrug oder auch Phishing
Unternehmen von Security Breaches: In (12 %) tritt häufig in der Branche der
einem Viertel der Unternehmen gab es unternehmensbezogenen Dienste und in
lediglich einen Security Breach (24 %, - 5 Pp), umsatzstärkeren Unternehmen (21 %) sowie
17 % identifizierten zwei (- 3 Pp) und 9 % in der kritischen Infrastruktur (26 %) auf.
drei oder mehr (- 8 Pp). Außerdem kam Mit Denial of Service haben bereits 12 %
es seltener zu Datenverlust aufgrund der Befragten Erfahrungen gemacht. Hier
unzureichender Backups (- 15 Pp) oder sind die konsumbezogenen Dienste sowie
durch den leichtfertigen Umgang seitens Unternehmen der kritischen Infrastruktur
der Mitarbeiterinnen und Mitarbeiter (- 5 Pp). besonders betroffen (30 %).
Deloitte View
Die EU-DSGVO und damit verbundene Investitionen
im Bereich Datenschutz und Infrastruktur lassen auch
eine Erhöhung der allgemeinen Informationssicherheit
erkennen. Grund hierfür sind Synergie-Effekte beider
Bereiche.
13Deloitte Cyber Securtiy Report 2020 |
Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches
Sind diese Szenarien bei Ihnen im Unternehmen bereits aufgetreten?
Hacker-Angriffe Befall durch Schadsoftware aus Datenverlust (z.B. aufgrund
dem Internet (wie z.B. Viren, unzureichender Backups oder
Trojaner oder Ransomware) fehlender Updates)
15 % 6%
27 %
Onlinebetrug (z.B. mittels Datenverlust durch MitarbeiterInnen Blockieren oder Stören von Webseiten
gefälschter Websites oder aufgrund leichtfertigen Umgangs oder Systemen (Denial of Service)
E-Mails bzw. Phishing)
12 % 11 % 12 %
Vorsätzlicher Datenmissbrauch
(z.B. unerlaubte Datenweitergabe)
5%
Bereits aufgetreten
14Deloitte Cyber Securtiy Report 2020 |
Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches
Die Gründe und Absichten der
Angreiferinnen und Angreifer schätzen
Deloitte View
die befragten Unternehmen 2020 Diese Ergebnisse decken sich auch mit den Erfahrungen
vielfältiger ein als noch im Vorjahr.
Jeder der vier abgefragten Gründe –
aus der Beratungspraxis. Vor allem digitale, anonyme
Lahmlegen des Systems oder Servers, Zahlungsmöglichkeiten haben den Anstieg von
Diebstahl von Daten und Wissen,
Fernsteuerung des Rechners und
Gelderpressungen stark gefördert.
Erpressung von Geld – erscheint
zwei von zehn Befragten naheliegend.
Seltener als 2019 wird jedoch
Was vermuten Sie, worauf hatten es die AngreiferInnen abgesehen?
vermutet, dass Angreiferinnen und
Angreifer das System oder den
Systeme oder Server lahmlegen 31 %
Server lahmlegen wollen (- 21 Pp).
Geld erpressen 27 %
Das Erpressen von Geld (+ 22 Pp)
wird hingegen häufiger angenommen. Daten bzw. Wissen stehlen 23 %
Je größer das Unternehmen, desto Rechner fernsteuern 20 %
eher gilt die Vermutung, dass es die Weiß nicht 19 %
Angreiferinnen und Angreifer auf
Anderes 13 %
Daten, Wissen oder Geld abgesehen
Keine Angabe 3%
haben.
0% 10 % 20 % 30 % 40 %
15Deloitte Cyber Securtiy Report 2020 |
Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches
Haben Sie den Vorfall der Polizei oder Wie hoch waren die Folgen der Eine Meldung bei der Polizei oder einer
anderen öffentlichen Stellen gemeldet? Angriffe für Ihr Unternehmen? anderen öffentlichen Behörde haben
rund 32 % der Unternehmen gemacht,
3% 11 % die einen oder mehrere Security Breaches
Die finanziellen Folgen verzeichnet hatten. Dabei waren rund
11 % dazu verpflichtet, die restlichen
1% 2%
21 % 14 % 21 % haben die Meldung freiwillig
gemacht. Eine Meldung wird laut Umfrage
generell häufiger vorgenommen, wenn
es mehrere Security Breaches gab und
48 %
65 % wenn das Unternehmen der kritischen
Infrastruktur angehört. Keine Meldung
(65 %) haben überdurchschnittlich oft
35 % Unternehmen vorgenommen, in denen
IT-Sicherheit ein Nischenthema ist (89 %),
Ja, weil verpflichtet zur Meldung
Ja, eine freiwillige Meldung die Teil der Baubranche sind (80 %)
Nein oder deren subjektives Sicherheits-
Keine Angabe gefühl gering ist (79 %).
Die Image-Folgen
Die Folgen der Angriffe in den Unter-
1% 1% 6 %
nehmen mit einem oder mehreren
17 % Security Breaches sind laut den Befragten
verhältnismäßig gering. Sehr bis ziemlich
hohe finanzielle Folgen melden lediglich
16 % der Unternehmen – und hier
vor allem jene, die IT-Sicherheit als
Nischenthema sehen, sich schlecht
informiert fühlen und bei Angriffen
76 % überfordert sind. Auch Unternehmen
der Baubranche (21 %) sind dabei
besonders betroffen.
Die Verluste an wichtigen Informationen Die Folgen durch den Verlust von Daten
oder wichtigen Informationen waren
2% 2%
8% nur für 10 % der Befragten sehr bis
ziemlich hoch: Auch hier fallen neben
kleinen Unternehmen (14 %) wieder
die Bauunternehmen (21 %) negativ auf.
Mit sehr bis ziemlich hohen Imageschäden
32 %
waren bislang nur 7 % der Betriebe
55 %
konfrontiert – hier vor allem jene der
kritischen Infrastruktur (13 %). Generell
steigen die finanziellen Folgen sowie die
Folgen für das Image mit der Anzahl der
Security Breaches.
Sehr hoch
Ziemlich hoch
Weniger hoch
Gar nicht hoch
Keine Angabe
16Deloitte Cyber Securtiy Report 2020 |
Schadsoftware und Hacker-Angriffe sind die häufigsten Gründe für Security Breaches
Deloitte View
Auch, wenn die finanziellen Folgen sich für die Unternehmen oft in Grenzen halten,
darf nicht bei Investitionen in die Cyber Security gespart werden. Denn wie die
Umfrageergebnisse zeigen, trifft es vor allem die Unternehmen, die sich nicht
ausreichend mit dem Thema beschäftigen.
Ferner sind die finanziellen Folgen aufgrund von Imageschäden oder durch fehlende
Verfügbarkeiten oftmals sehr schlecht kalkulierbar. Die Auswirkungen solcher Schäden
können auch noch nach Jahren für Unternehmen spürbar sein.
Laut Studie befürchten mittlerweile Von wem befürchten Sie am ehesten Angriffe auf Ihr Unternehmen?
rund 49 % der Unternehmen Angriffe
von Individuen (+ 10 Pp). 20 % der Individuen, EinzeltäterInnen 49 %
Unternehmen rechnen mit Angriffen durch Weiß nicht/keine Angabe 23 %
das organisierte Verbrechen oder die
Organisiertes Verbrechen, Mafia 20 %
Mafia. Angriffe von Mitbewerbern werden
Staatlich organisierte Angreifer 9%
nur mehr von 8 % der Befragten vermutet
(- 15 Pp). Mitbewerb, Konkurrenz 8%
Ehemalige MitarbeiterInnen 7%
AktivistInnen, TerroristInnen 7%
Eigene derzeitige MitarbeiterInnen 2%
Anderes 2%
0% 10 % 20 % 30 % 40 % 50 %
17Deloitte Cyber Securtiy Report 2020 | HOT TOPIC: Cyber Security in Zeiten von COVID-19 HOT TOPIC: Cyber Security in Zeiten von COVID-19 Durch die Ausbreitung von COVID-19 musste der Großteil der österreichischen Unternehmen komplett oder teilweise auf Home Office umsatteln. Welche Herausforderungen hat dieser Umstand für die heimischen IT-Abteilungen sowie für Datenschutzexpertinnen und -experten mit sich gebracht? Welche Auswirkungen hat die Corona-Krise auf die Cyber Security der Unternehmen? Mit einer Kurzumfrage unter 114 Entscheidungsträgerinnen und Entscheidungsträgern aus österreichischen Betrieben ging Deloitte Österreich diesen Fragen Anfang Mai 2020 auf den Grund. 18
Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Sicherheitsgefühl in der Corona-Krise
Für 81 % der Befragten ist Was trifft am ehesten auf Ihr Unternehmen zu: Ist Informationssicherheit
Informationssicherheit auch in ein Nischenthema oder ein Thema mit sehr hoher Priorität?
Zeiten von Corona ein Thema mit 3% 6%
hoher Priorität. Dementsprechend 10 %
fühlt sich auch der Großteil sicher:
Ganze 60 % bewerten ihre Daten
und IT-Systeme als absolut bis sehr Nischenthema
sicher, 31 % beschreiben diese aktuell Thema mit sehr hoher Priorität
zumindest als ziemlich sicher. Aber Weder noch
dennoch steigt das Unsicherheits- Keine Angabe
gefühl: So beobachteten 22 % in
den letzten Wochen eine leichte
bis starke Abnahme ihrer Daten- 81 %
und IT-Sicherheit.
Was glauben Sie, wie sicher sind Ihre Daten und IT-Systeme derzeit?
Deloitte View 1%
8% 8%
Neben den offensichtlichen
IT-Herausforderungen des
Absolut sicher
dezentralen Arbeitens ist 31 % Sehr sicher
das Thema der Informations-
Ziemlich sicher
Wenig sicher
sicherheit in den letzten Keine Angabe
Wochen wieder in den 52 %
Vordergrund gerückt.
Die österreichischen
Hat die Sicherheit Ihrer Daten- und IT Systeme durch COVID-19
Unternehmen sind zwar zugenommen,abgenommen oder ist sie gleichgeblieben?
relativ selbstbewusst, 4% 3% 3%
was die Sicherheit ihrer 13 %
18 %
Daten- und IT-Systeme Stark zugenommen
anbelangt. Dennoch Etwas zugenommen
Gleichgeblieben/Unverändert
bringt die neue Situation Etwas abgenommen
Stark abgenommen
rund um COVID-19 mehr Keine Angabe
Unsicherheit mit sich. 60 %
19Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Cyber Security im Home Office
Derzeit befindet sich laut Umfrage die Deloitte View
Mehrheit der Mitarbeiterinnen und
Mitarbeiter heimischer Unternehmen Viele Unternehmen haben Home Office bereits in der
im Home Office: So arbeiten bei 42 % Vergangenheit praktiziert und dadurch Erfahrungswerte
der Befragten rund drei Viertel der
Mitarbeiterinnen und Mitarbeiter von zu gesammelt. Doch die Skalierbarkeit auf einen Großteil
Hause aus, bei 21 % tut dies sogar die der Belegschaft stellt eine große Herausforderung dar.
gesamte Belegschaft. Nur 8 % geben an,
dass in ihrem Unternehmen niemand im Unternehmen, die auf durchdachte und nicht unter
Home Office tätig ist. Druck der kurzfristigen COVID-19 bedingten Umstellung
Grund zur Sorge gibt es offenbar entstandene Sicherheitskonzepte zugreifen können,
nicht: Ganze 91 % sind der Meinung, sind hier klar im Vorteil.
dass die unternehmenseigenen
Informationssicherheitssysteme gut für
Home Office aufgestellt sind. Abstriche
in puncto Cyber Security aufgrund des Wie viele Ihrer MitarbeiterInnen befinden sich derzeit im Home Office?
externen Zugriffs auf Programme und 8%
Daten mussten die wenigsten machen. 5% 21 %
Auch ein verstärktes Auftreten von
Sicherheitslücken wurde bisher eher
Alle
selten beobachtet. In Bezug auf den 16 % Rund drei Viertel
Umgang mit personenbezogenen Daten Rund die Hälfte
im Zusammenhang mit an COVID-19 Rund ein Viertel
Erkrankten hält sich der Aufwand laut Wenige Einzelpersonen
8% Niemand
Umfrage ebenfalls in Grenzen.
42 %
Allerdings hat sich der Wartungsaufwand
bei rund einem Drittel der Unternehmen
erhöht. Auch die Nutzung privater Geräte
für berufliche Zwecke hat immerhin bei
41 % eher zugenommen. Dementsprechend
geben 61 % an, dass der Risikofaktor
„Mensch“ in der derzeitigen Situation
noch kritischer geworden ist.
20Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Treffen die folgenden Aussagen auf Ihr Unternehmen zu?
Unser Informationssicherheits- Die Nutzung von privaten Geräten Um MitarbeiterInnen externen Zugriff auf
system ist für Home Office gut für berufliche Zwecke hat durch die Programme/Daten zu ermöglichen, müssen
aufgestellt aktuelle Situation zugenommen Abstriche in puncto Cyber Security gemacht
1%1% 1% werden 2% 2%
7% 9%
22 %
28 %
41 %
36 %
51 %
19 %
50 %
30 %
Das Aufkommen von Sicherheits- Der Wartungsaufwand für das Der Risikofaktor "Mensch" ist in der
lücken hat durch die aktuelle Firmennetzwerk hat sich erhöht derzeitigen Situation noch kritischer
Situation zugenommen geworden
9% 4% 6% 2%
8% 10 %
10 % 19 %
28 %
25 %
27 %
34 %
45 %
42 %
31 %
Der Umgang mit personenbezogenen Daten im
Zusammenhang mit COVID-19-Erkrankungen erfordert
zusätzliche Prozesse oder Sicherheitsmaßnahmen
10 % 11 %
20 %
Trifft sehr zu
25 % Trifft ziemlich zu
Trifft wenig zu
Trifft gar nicht zu
Keine Angabe
34 %
21Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Aufkommen von Cyber-Angriffen
Die Umfrage zeigt: Nur wenige Unter- Deloitte View
nehmen haben seit dem Ausbruch von
COVID-19 Angriffe auf ihre Daten- und Es stellt ein großes Risiko dar, dass viele Cyber-
IT-Systeme festgestellt. Aber: Viele Angriffe Angriffe unentdeckt bleiben. Hier lohnt es sich für
bleiben lange unentdeckt. So konnte etwa
kein einziges der befragten Unternehmen Unternehmen in entsprechende Programme und Tools
bisher einen erfolgreichen Hacker-Angriff zu investieren, um dieses Risiko gering zu halten. Zu
verzeichnen, gleichzeitig sind sich aber 17 %
nicht sicher, ob nicht doch ein Angriff berücksichtigen ist: Bei gleichbleibendem Aufkommen
stattgefunden hat. Am vergleichsweise von Cyber-Angriffen besteht jedenfalls ein erhöhtes
häufigsten berichten die Befragten von
Onlinebetrug mittels gefälschter Websites Risiko, dass diese erfolgreich sind. Denn durch die
und E-Mails. 12 % sind diesem Angriff auch Umstellung der Arbeitsweise auf Home Office und die
bereits zum Opfer gefallen.
Nutzung von nicht routinemäßig genutzter Software
Laut den meisten Unternehmen hat sich können Mitarbeiterinnen und Mitarbeiter leichter
die Häufigkeit von Angriffen durch die
Verbreitung von COVID-19 nicht verändert. Opfer von Angriffen werden. Awareness-Bildung und
25 % nehmen jedoch einen Anstieg im die Kommunikation von Angriffsmustern ist deshalb
Vergleich zu vorher wahr.
wichtiger denn je.
Haben Angriffe auf Ihre Daten und Systeme seit der COVID-19-Situation
zugenommen, abgenommen oder sind gleichgeblieben?
3%
22 %
26 %
Stark zugenommen
Etwas zugenommen
Gleichgeblieben/Unverändert
1%
Etwas abgenommen
Stark abgenommen
Keine Angabe
48 %
22Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Sind seit dem Ausbruch von COVID-19 in Österreich (März 2020) folgende Szenarien in Ihrem Unternehmen aufgetreten?
Hacker-Angriff Befall durch Schadsoftware aus Datenverlust (z.B. aufgrund
dem Internet (wie z.B. Viren, unzureichender Backups oder
Trojaner oder Ransomware) fehlender Updates)
6% 3%
11 %
17 % 15 %
83 %
79 % 86 %
Onlinebetrug (z.B. mittels Datenverlust durch MitarbeiterInnen Blockieren oder Stören von Webseiten
gefälschter Websites oder aufgrund leichtfertigen Umgangs oder Systemen (Denial of Service)
E-Mails bzw. Phishing)
9% 4%
12 %
17 % 16 % 13 %
71 % 75 % 83 %
Vorsätzlicher Datenmissbrauch
(z.B. unerlaubte Datenweitergabe)
2%
25 %
Ja
Nein
Weiß nicht
73 %
23Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Aktuelle und geplante Maßnahmen
Die meisten Unternehmen setzen Deloitte View
zur Bewältigung der neuen Arbeits-
bedingungen auf die Nutzung von Auch in den turbulenten
VPN (72 %), Schulungen der Zeiten von COVID-19
Mitarbeiterinnen und Mitarbeiter
(46 %) sowie entsprechende setzt man auf bewährte
Awareness-Kampagnen (43 %) und Maßnahmen und auf
eine verstärkte Überwachung der
IT-Infrastruktur (44 %). Zusätzliche das Funktionieren
Schutzsoftware kommt nur des bestehenden
bei 13 % der befragten Unter-
nehmen zum Einsatz. Sicherheitskonzeptes.
Frei nach dem Motto
Vor dem Hintergrund von COVID-19
wollen 40 % der Befragten in „More of the same“
Zukunft verstärkt auf die Erhöhung wurde Home Office in
der Sicherheitsbestimmungen
und -vorkehrungen für mobile der IT-Architektur vieler
Endgeräte fokussieren. Auch Unternehmen bereits
die Überarbeitung bestehender
Sicherheitsrichtlinien steht bei berücksichtigt. Es gilt
38 % auf dem Plan. Zusätzliche nun sicherzustellen,
Investitionen in den Bereich
Cyber Security werden hingegen dass Mitarbeiterinnen
nur von 21 % in Betracht gezogen. und Mitarbeiter, die dies
erst kürzlich nutzen, in
Bezug auf die Gefahren
sensibilisiert werden.
24Deloitte Cyber Securtiy Report 2020 |
HOT TOPIC: Cyber Security in Zeiten von COVID-19
Welche zusätzlichen Maßnahmen im Bereich der Daten- und Informationssicherheit
haben Sie zur Bewältigung der neuen Arbeitsbedingungen aufgrund von COVID-19 –
gerade in Hinblick auf Home Office – getroffen?
Nutzung von VPN 72 %
MitarbeiterInnenschulungen 46 %
Verstärkte Überwachung der IT-Infrastruktur 44 %
Awareness-Kampagnen 43 %
Zwei-Faktor-Authentifizierung für externe Zugriffe 34 %
Notfallpläne überarbeitet bzw. getestet 32 %
Einsatz zusätzlicher Schutzsoftware 13 %
Keine 11 %
Andere 2%
0% 10 % 20 % 30 % 40 % 50 % 60 % 70 % 80 %
Auf welche Maßnahmen im Bereich der Daten- und Informationssicherheit werden
Sie vor dem Hintergrund von COVID-19 in Zukunft fokussieren?
Erhöhung der Sicherheitsbestimmungen und -vorkehrungen für mobile Endgeräte 40 %
Überarbeitung der bestehenden IT-Sicherheitsrichtlinien 38 %
Umstellung verwendeter Hard- und Software (z.B. für VPN-Zugänge) 31 %
Höherer Stellenwert des Bereichs Cyber Security 27 %
Zusätzliche Investitionen in den Bereich Cyber Security 21 %
Keine 19 %
Andere 9%
0% 10 % 20 % 30 % 40 % 50 %
25Deloitte Cyber Securtiy Report 2020 |
Sample und Methode
Sample & Methode der Umfrage von Deloitte und SORA
zu Cyber Security
Zielpopulation: Unternehmen in Österreich ab 50 Beschäftigte
Erhebungsmethode: Standardisierte Telefonbefragung (CATI) durch SORA
Befragungszeitraum: Jänner 2020
Stichprobe: 535 Unternehmen
Gewichtung: Nach Anzahl der Mitarbeiterinnen und Mitarbeiter sowie nach Bundesland
Sample & Methode der Kurzumfrage von Deloitte
zu Cyber Security in Zeiten von COVID-19
Erhebungsmethode: Online-Umfrage
Befragungszeitraum: Mai 2020
Umfrageteilnahme: 114 Unternehmen
Hinweis: Geringfügige Abweichungen von Sollwerten (z.B. 99 %
oder 101 % statt 100 %) sind auf Rundungseffekte zurückzuführen.
26Deloitte Cyber Securtiy Report 2020 |
Kontakt
Kontakt
Deloitte Audit
Wirtschaftsprüfungs GmbH
Renngasse 1/Freyung
1010 Wien
www.deloitte.at
Alexander Ruzicka
Partner | Risk Advisory
Tel.: +43 1 537 00-7950
aruzicka@deloitte.at
Andreas Niederbacher
Senior Manager | Risk Advisory
Tel.: +43 732 675 290 250
aniederbacher@deloitte.at
27Deloitte bezieht sich auf Deloitte Touche Tohmatsu Limited, eine "UK private company limited by guarantee" („DTTL"), deren Netzwerk von Mitgliedsunternehmen und deren verbundene Unternehmen. DTTL und jedes ihrer Mitgliedsunternehmen sind rechtlich selbstständige und unabhängige Unternehmen. DTTL (auch "Deloitte Global" genannt) erbringt keine Dienstleistungen für Kundinnen und Kunden. Unter www.deloitte. com/about finden Sie eine detaillierte Beschreibung von DTTL und ihrer Mitgliedsunternehmen. Deloitte erbringt Dienstleistungen aus den Bereichen Wirtschaftsprüfung, Steuerberatung, Consulting, Financial Advisory und Risk Advisory für Unternehmen und Institutionen aus allen Wirtschaftszweigen. Mit einem weltweiten Netzwerk von Mitgliedsgesellschaften in mehr als 150 Ländern verbindet Deloitte herausragende Kompetenz mit erstklassigen Leistungen und steht Kundinnen und Kunden bei der Bewältigung ihrer komplexen unternehmerischen Herausforderungen zur Seite. „Making an impact that matters" – mehr als 312.000 Mitarbeiterinnen und Mitarbeiter von Deloitte teilen dieses gemeinsame Verständnis für den Beitrag, den wir als Unternehmen stetig für unsere Klientinnen und Klienten, Mitarbeiterinnen und Mitarbeiter und die Gesellschaft erbringen. Dieses Dokument enthält lediglich allgemeine Informationen, die eine Beratung im Einzelfall nicht ersetzen können. Die Informationen in diesem Dokument sind weder ein Ersatz für eine professionelle Beratung noch sollten sie als Basis für eine Entscheidung oder Aktion dienen, die eine Auswirkung auf Ihre Finanzen oder Ihre Geschäftstätigkeit haben. Bevor Sie eine diesbezügliche Entscheidung treffen, sollten Sie qualifizierte, professionelle Beratung in Anspruch nehmen. Deloitte Mitgliedsfirmen übernehmen keinerlei Haftung oder Gewährleistung für in diesem Dokument enthaltene Informationen. © 2020 Deloitte Audit Wirtschaftsprüfungs GmbH Gesellschaftssitz Wien | Handelsgericht Wien | FN 36059 d
Sie können auch lesen
